Por: Carlos A. FERREYROS SOTO
Doctor en Derecho
Universidad de Montpellier I Francia.
cferreyros@ferreyros-ferreyros.com
RESUMEN
La Decisión (UE) 2026/1347 del Consejo, de 4 de junio de 2026, autoriza a la Unión Europea a celebrar, en su nombre, la Convención de las Naciones Unidas contra la Ciberdelincuencia, cuyo objetivo principal es fortalecer la cooperación internacional en investigación penal y en la preservación, obtención y transmisión de pruebas electrónicas relacionadas con delitos graves cometidos mediante tecnologías de la información y las comunicaciones.
La Decisión argumenta que la Convención mejorará la capacidad de los Estados miembros y de la Unión para investigar delitos cibernéticos transfronterizos cometidos contra personas y empresas de la UE por autores en terceros países, y facilitará la asistencia técnica, el desarrollo de capacidades y el intercambio de información entre autoridades.
Sin embargo, la Decisión presenta algunas “reservas” relevantes a esta Convención, no reservas clásicas de exclusión al estilo de los tratados multilaterales abiertos, sino más bien límites de aplicación, declaraciones de competencia y salvaguardas vinculadas a cooperación penal, datos y pruebas electrónicas.
En los grandes Estados miembros: Alemania, Francia e Italia, el punto clave no es tanto una reserva material amplia, sino la posibilidad de formular declaraciones para preservar el reparto interno de competencias y la compatibilidad con sus garantías constitucionales y procesales. Desde esa perspectiva, cualquier posición nacional que limite el uso de mecanismos de transmisión de pruebas electrónicas o de cooperación acelerada debe leerse como una reserva funcional: no niega la Convención en bloque, pero delimita su operatividad en materia penal y de datos.
En España y los Países Bajos, por su perfil de cooperación judicial y digitalización procesal, las reservas tendrían mayor incentivo a usar declaraciones interpretativas antes que reservas sustantivas, para evitar fricciones con la asistencia judicial mutua y la circulación de pruebas electrónicas competentes.
A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privadas interesadas en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@ferreyros-ferreyros.com
________________________________________________________
| Diario Oficial de la Unión Europea | ES Serie L |
| 2026/1347 | 19.6.2026 |
DECISIÓN (UE) 2026/1347 DEL CONSEJO
de 4 de junio de 2026
sobre la celebración, en nombre de la Unión Europea, de la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves
EL CONSEJO DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea y, en particular artículo 82, apartados 1 y 2, su artículo 83, apartado 1, y su artículo 87, apartado 2, en relación con su artículo 218, apartado 6,
Vista la propuesta de la Comisión Europea,
Vista la aprobación del Parlamento Europeo (1),
Considerando lo siguiente:
| (1) | De conformidad con la Decisión del Consejo (UE) 2025/2307 (2), la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves (en lo sucesivo, «Convención») se firmó, en nombre de la Unión, en Hanoi (Vietnam) el 25 de octubre de 2025, a reserva de su celebración de dicha Convención. |
| (2) | La Convención cumple con los objetivos de seguridad de la Unión a que se refiere el artículo 67, apartado 3, del Tratado de Funcionamiento de la Unión Europea (TFUE), a saber, garantizar un nivel elevado de seguridad mediante medidas de prevención y lucha contra la delincuencia y medidas de coordinación y cooperación entre autoridades policiales y judiciales y otras autoridades competentes, así como mediante la aproximación de las legislaciones penales. |
| (3) | La Convención se aplica a las investigaciones o procesos penales específicos sobre delitos tipificados con arreglo a la Convención, así como al intercambio de pruebas en forma electrónica relativas a delitos graves (delitos punibles con una privación de libertad máxima de al menos cuatro años o una pena más severa) y solo permite el intercambio de información a tales fines. |
| (4) | La Convención armoniza un conjunto limitado de delitos claramente definidos, al tiempo que permite la flexibilidad necesaria para que los Estados partes eviten la criminalización de conductas legítimas. |
| (5) | La Convención establece únicamente normas mínimas sobre la responsabilidad de las personas jurídicas por su participación en delitos tipificados con arreglo a la Convención y no exige que los Estados partes adopten las medidas que sean necesarias para establecer la responsabilidad de las personas jurídicas de una manera que no esté en consonancia con sus principios jurídicos. |
| (6) | La Convención también se ajusta a los objetivos de protección de los datos personales, de la privacidad y de los derechos fundamentales de la Unión, de conformidad con el artículo 16 del TFUE y la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»). |
| (7) | La Convención establece condiciones y salvaguardias sólidas en materia de derechos humanos, que forman parte del objeto y finalidad de la Convención y están indisolublemente unidas a las competencias y a los procedimientos establecidos por la Convención. Por lo tanto, dichas condiciones y salvaguardias no pueden ser objeto de reservas. La Convención excluye toda interpretación que conduzca a la supresión de los derechos humanos o las libertades fundamentales, en particular las libertades de expresión, de conciencia, de opinión, de religión o creencia, de reunión pacífica y de asociación. Estas salvaguardias también garantizan que se pueda denegar la cooperación internacional si dicha cooperación internacional fuera contraria al Derecho interno de los Estados partes o si dicha denegación fuera necesaria para evitar cualquier forma de discriminación. |
| (8) | En lo que respecta a las competencias y los procedimientos tanto a nivel nacional como internacional, la Convención establece condiciones y salvaguardias horizontales que garantizan la protección de los derechos humanos, de conformidad con las obligaciones de los Estados partes en virtud del Derecho internacional de los derechos humanos. Los Estados partes también deben incorporar el principio de proporcionalidad a su Derecho interno. Dichas condiciones y salvaguardias deben incluir, entre otras cosas, la revisión judicial u otra forma de examen independiente, el derecho a un recurso efectivo, los motivos que justifiquen su aplicación y la limitación del alcance y la duración de tales facultades o procedimientos. |
| (9) | La Convención incluye una disposición específica sobre la protección de datos personales que garantiza que se apliquen principios importantes en materia de protección de datos, entre ellos, la limitación de la finalidad, la minimización de datos, la proporcionalidad y la necesidad, de conformidad con la Carta antes de que se puedan facilitar datos personales a otro Estado parte. |
| (10) | Con su participación en las negociaciones, en nombre de la Unión, la Comisión garantizó la compatibilidad de la Convención con las normas pertinentes de la Unión. |
| (11) | Son pertinentes una serie de reservas para garantizar la compatibilidad de la Convención con el Derecho y las políticas de la Unión, así como la aplicación uniforme de la Convención por los Estados miembros en sus relaciones con los Estados partes no pertenecientes a la UE, y la aplicación efectiva de la Convención. |
| (12) | Las reservas, se entienden sin perjuicio de cualquier otra reserva que los Estados miembros deseen formular individualmente cuando sea admisible. |
| (13) | Dado que la Convención establece procedimientos que mejoran el acceso transfronterizo a las pruebas en forma electrónica y un alto nivel de garantías, convertirse en parte de la Convención promoverá la coherencia de los esfuerzos de la Unión en la lucha contra la ciberdelincuencia y otras formas de delincuencia a nivel mundial. La Convención facilitará la cooperación entre los Estados partes de la UE y los Estados partes de fuera de la UE, al tiempo que garantice un nivel elevado de protección de las personas. |
| (14) | La pronta firma de la Convención por parte de la Unión garantizará además que la Unión tenga una voz relevante en las primeras fases de la aplicación de este nuevo marco mundial para la lucha contra la ciberdelincuencia. |
| (15) | De conformidad con su artículo 64, párrafo 3, la Convención está sujeta a ratificación, aceptación o aprobación por los Estados y las organizaciones regionales de integración económica, como la Unión. |
| (16) | La Unión debe convertirse en parte de la Convención junto con sus Estados miembros, ya que la Unión y sus Estados miembros tienen competencias en los ámbitos cubiertos por la Convención. La celebración de la Convención por parte de la Unión se entiende sin perjuicio de la competencia de los Estados miembros en lo que respecta a la ratificación, aceptación o aprobación de la Convención, de conformidad con sus procedimientos internos. La Convención debe celebrarse, en nombre de la Unión, en lo que respecta a asuntos que son de competencia la Unión, en la medida en que la Convención pueda afectar a normas comunes o alterar el ámbito de aplicación de las mismas. En el ámbito de las competencias compartidas, los Estados miembros conservan su competencia en la medida en que la Convención no afecte a normas comunes ni altere su ámbito de aplicación. |
| (17) | De conformidad con la Convención, la Unión ha de declarar en su instrumento de ratificación, aceptación, aprobación o adhesión el alcance de su competencia con respecto a los asuntos regulados por la Convención. La Unión definió el alcance de su competencia con respecto a los asuntos regulados por la Convención en la Declaración de Competencia de la Unión Europea realizada de conformidad con el artículo 64, párrafos 3 y 4, de la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves (en lo sucesivo, «Declaración de Competencia»). |
| (18) | El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (3), emitió su dictamen el 4 de septiembre de 2025. |
| (19) | De conformidad con los artículos 1 y 2 del Protocolo n.o 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea (TUE) y al TFUE, y sin perjuicio del artículo 4 de dicho Protocolo, Irlanda no participa en la adopción de la presente Decisión y no queda vinculada por ella ni sujeta a su aplicación. |
| (20) | De conformidad con los artículos 1 y 2 del Protocolo n.o 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción de la presente Decisión y no queda vinculada por ella ni sujeta a su aplicación. |
| (21) | Procede aprobar la Convención, las reservas adjuntas y la Declaración de Competencia. |
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1 Queda aprobada, en nombre de la Unión Europea, la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves (4) (en lo sucesivo, «Convención»).
Artículo 2 Queda aprobada, en nombre de la Unión Europea, la Declaración de Competencia realizada de conformidad con el artículo 64, párrafos 3 y 4, de la Convención.
Artículo 3 Quedan aprobadas, en nombre de la Unión Europea, las reservas.
Artículo 4 La presente Decisión entrará en vigor el día de su adopción (5).
Hecho en Luxemburgo, el 4 de junio de 2026.
Por el Consejo
El Presidente
- FITIRIS
(1) Aprobación de 20 de mayo de 2026 (pendiente de publicación en el Diario Oficial).
(2) Decisión (UE) 2025/2307 del Consejo, de 13 de octubre de 2025, sobre la firma, en nombre de la Unión Europea, de la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves (DO L, 2025/2307, 11.11.2025, ELI: http://data.europa.eu/eli/dec/2025/2307/oj).
(3) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(4) DO L, 2026/1348, 19.6.2026, ELI: http://data.europa.eu/eli/convention/2026/1348/oj.
(5) La Secretaría General del Consejo se encargará de publicar en el Diario Oficial de la Unión Europea la fecha de entrada en vigor del Acuerdo.
Reservas
- La Unión y sus Estados miembros actuarán de conformidad con las indicaciones que figuran a continuación en relación con las reservas, con respecto a la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves (en lo sucesivo, «Convención»).
- La Convención no contiene ninguna disposición específica sobre las reservas. Sin embargo, permite explícitamente que un Estado parte declare que se acoge a una reserva prevista en algunos de sus artículos: el artículo 11, párrafo 3; el artículo 23, párrafo 3, apartado a); el artículo 23, párrafo 3, apartado b), inciso ii); el artículo 42, párrafo 5; el artículo 63, párrafos 3 y 4. La Convención permite además implícitamente otras reservas siempre que estas sean conformes con el artículo 19, apartado c), de la Convención de Viena sobre el Derecho de los Tratados, hecha en Viena el 23 de mayo de 1969, y con el Derecho internacional consuetudinario y no sean incompatibles con el objeto y el fin de la Convención.
- La Unión y sus Estados miembros formularán una reserva basada en el artículo 63, párrafo 3, indicando que no se considera vinculada por el artículo 63, párrafo 2, en lo que respecta a la solución de controversias sobre materias que sean competencia de la Unión o a la solución de controversias entre Estados miembros o entre la Unión y un Estado miembro.
- Cuando los Estados miembros se planteen formular sus propias reservas, informarán de ello previamente a la Comisión.
- Las condiciones y salvaguardias en materia de derechos humanos reconocidas y establecidas en la Convención, incluidas las que figuran en el artículo 6, el artículo 21, párrafo 4, el artículo 24, el artículo 36, el artículo 37, párrafo 15, y el artículo 40, párrafo 22, forman parte del objeto y finalidad de la Convención. Por lo tanto, la Unión y sus Estados miembros no formularán reservas sobre dichos artículos. La Unión debe oponerse a cualquier reserva formulada por los Estados partes en la Convención no pertenecientes a la UE considerada incompatible con el objeto y la finalidad de la Convención, sin perjuicio de la posibilidad de los Estados miembros de formular la misma oposición de manera coordinada.
Declaración de Competencia de la Unión Europea realizada de conformidad con el artículo 64, párrafos 3 y 4, de la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves
- La Unión Europea (en lo sucesivo, «Unión») presenta, de conformidad con el artículo 64, párrafos 3 y 4, de la Convención de las Naciones Unidas contra la Ciberdelincuencia; Fortalecimiento de la Cooperación Internacional para la Lucha contra Determinados Delitos Cometidos mediante Sistemas de Tecnología de la Información y las Comunicaciones y para la Transmisión de Pruebas en Forma Electrónica de Delitos Graves (en lo sucesivo, «Convención»), la siguiente Declaración con respecto a las materias regidos por la Convención.
- Los Estados miembros de la Unión son el Reino de Bélgica, la República de Bulgaria, la República Checa, el Reino de Dinamarca, la República Federal de Alemania, la República de Estonia, Irlanda, la República Helénica, el Reino de España, la República Francesa, la República de Croacia, la República Italiana, la República de Chipre, la República de Letonia, la República de Lituania, el Gran Ducado de Luxemburgo, Hungría, la República de Malta, el Reino de los Países Bajos, la República de Austria, la República de Polonia, la República Portuguesa, Rumanía, la República de Eslovenia, la República Eslovaca, la República de Finlandia y el Reino de Suecia.
- De conformidad con los artículos 3 y 4 del Tratado de Funcionamiento de la Unión Europea (TFUE), la Unión tiene competencia exclusiva en algunas materias y, en otras, competencia compartida con sus Estados miembros. De conformidad con el artículo 4, apartado 1, del Tratado de la Unión Europea (TUE), toda competencia no atribuida a la Unión en los Tratados corresponde a los Estados miembros.
- A este respecto, la Unión declara, en primer lugar, que es competente para celebrar acuerdos internacionales ejecutar las obligaciones que de ellos se deriven, que estén relacionados con el espacio de libertad, seguridad y justicia, a los que se aplica la competencia compartida con los Estados miembros de conformidad con el artículo 4, letra j), del TFUE. Esto se refiere concretamente a los siguientes ámbitos, de conformidad con el artículo 67, apartado 3, el artículo 82, apartados 1 y 2, el artículo 83, apartado 1, y el artículo 87, apartado 2, del TFUE:
| a) | garantizar un nivel elevado de seguridad mediante medidas de prevención de la delincuencia, el racismo y la xenofobia y de lucha en contra de ellos, medidas de coordinación y cooperación entre autoridades policiales y judiciales y otras autoridades competentes, así como mediante el reconocimiento mutuo de las resoluciones judiciales en materia penal y, si es necesario, mediante la aproximación de las legislaciones penales; |
| b) | la cooperación judicial en materia penal en la Unión basada en el principio del reconocimiento mutuo de sentencias y resoluciones judiciales, incluida la aproximación de las leyes y reglamentos de los Estados miembros en ámbitos específicos de la legislación penal procesal y sustantiva, incluidas medidas para:
|
| c) | facilitar la cooperación policial y judicial en materia penal con dimensión transfronteriza mediante el establecimiento de normas mínimas relativas a:
|
| d) | establecer normas mínimas relativas a la definición de las infracciones penales y las sanciones en ámbitos delictivos que sean de especial gravedad y tengan una dimensión transfronteriza. Estos ámbitos delictivos son los siguientes: el terrorismo, la trata de seres humanos y la explotación sexual de mujeres y niños, el tráfico ilícito de drogas, el tráfico ilícito de armas, el blanqueo de capitales, la corrupción, la falsificación de medios de pago, la delincuencia informática y la delincuencia organizada; |
| e) | desarrollar una cooperación policial en la que participen todas las autoridades competentes de los Estados miembros, incluidos los servicios de policía, los servicios de aduanas y otros servicios con funciones coercitivas especializados en la prevención y en la detección e investigación de infracciones penales; a tal fin, la Unión puede establecer medidas relativas a:
|
- En segundo lugar, la Unión declara que, de conformidad con el artículo 16, apartado 2, del TFUE, es competente para establecer las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión, así como por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión, y sobre la libre circulación de estos datos.
- En particular, la presente declaración no debe interpretarse como un uso de la posibilidad de que dispone la Unión de ejercer su competencia externa con respecto a los ámbitos cubiertos por la Convención que son de competencia compartida en la medida en que la Unión aún no haya ejercido internamente dicha competencia. En el ámbito de las competencias compartidas, los Estados miembros conservan su competencia en la medida en que la Convención no afecte a normas comunes ni altere su ámbito de aplicación, incluida su evolución futura previsible. Por consiguiente, debe evaluarse el alcance de la competencia de la Unión sobre la base de un análisis completo y detallado de la relación entre la Convención y las disposiciones exactas de cada medida del Derecho de la Unión, caso por caso. El ámbito de aplicación y el ejercicio de dicha competencia de la Unión están sujetos a una evolución constante.
- Por lo tanto, la Unión y sus Estados miembros son competentes para celebrar la Convención. La celebración de la Convención por parte de la Unión se entiende sin perjuicio de la competencia de los Estados miembros en lo que respecta a la ratificación, aceptación, aprobación o adhesión a la Convención.
- En virtud del artículo 64, párrafos 3 y 4, de la Convención, la Unión ha de informar al depositario de cualquier modificación pertinente del alcance de su competencia.
ELI: http://data.europa.eu/eli/dec/2026/1347/oj
ISSN 1977-0685 (electronic edition)
